PT-2026-35970 · Agentflow · Agentflow

Publicado 2026-04-29 · Atualizado 2026-04-30 · CVE-2026-7439

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.4

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas AgentFlow (versões afetadas não especificadas)

Descrição A API web local não impõe a validação application/json para tipos de conteúdo que não sejam JSON nos endpoints 'POST /api/runs' e 'POST /api/runs/validate'. Isso permite que invasores ignorem a imposição de limites de confiança em operações sensíveis por meio de solicitações locais de origem cruzada ou orientadas pelo navegador, potencialmente permitindo cadeias de ataque contra o plano de controle local.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Origin Validation Error

Enumeração de Fraquezas

CWE-346

Identificadores relacionados

CVE-2026-7439

Produtos afetados

Agentflow

Referências · 7

• 🔥 https://github.com/berabuddies/agentflow/pull/18 · Exploit
• https://github.com/berabuddies/agentflow/commit/1667fa3 · Correção
• https://twitter.com/CVEnew/status/2049578376420381127 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-7439 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2049588222267699492 · Publicação no Twitter
• https://vulncheck.com/advisories/agentflow-local-web-api-content-type-validation-bypass · Nota
• https://twitter.com/vuldb/status/2049702841200398596 · Publicação no Twitter